Comunicato del Microsoft Product Support Services (PSS) Security Response Team - Worm Sasser e varianti
LIVELLO DI GRAVITÀ: CRITICO
DATA: 1 maggio 2004
AGGIORNAMENTO: 10 maggio 2004
Il PSS Security Team ha aggiornato questo comunicato per segnalare ai clienti la diffusione del worm “W32.Sasser.worm” e delle relative varianti. In base alle informazioni raccolte da Microsoft, oltre al worm Sasser originale sono attualmente presenti le varianti B, C, D, E, F. Tutte le versioni del worm sfruttano un problema del servizio LSASS (Local Security Authority Subsystem Service) che può essere risolto applicando l'aggiornamento per la protezione MS04-011, rilasciato il 13 aprile 2004.
Microsoft invita i clienti a proteggere i propri sistemi installando immediatamente l'aggiornamento fornito con il Bollettino Microsoft sulla sicurezza MS04-011.
PRODOTTI INTERESSATI: Windows 2000, Windows XP
CONSEGUENZE DELL'ATTACCO: esecuzione di codice in modalità remota
DETTAGLI TECNICI
Per ulteriori informazioni sul worm fornite dai produttori di software antivirus che aderiscono alla Microsoft Virus Information Alliance (VIA), visitate i seguenti siti Web:
Per ulteriori informazioni sull'iniziativa Microsoft Virus Information Alliance, visitate:
| • |
Per ulteriori informazioni sul worm, contattate il produttore del software antivirus che utilizzate.
PREVENZIONE
Installate l'ultima versione dell'aggiornamento fornito con il Bollettino Microsoft sulla sicurezza MS04-011
| • | http://www.microsoft.com/italy/technet/solutions/security/04/ms04_011.asp |
I sistemi in cui è attivo il firewall di Windows XP sono protetti da questo tipo di attacco, che sfrutta la porta TCP 445. Questo attacco viene bloccato per impostazione predefinita anche dalla maggior parte dei firewall di altri produttori.
Sono stati inoltre pubblicati script di Internet Security and Acceleration (ISA) Server che bloccano esplicitamente il traffico legato al worm Sasser in entrata o in uscita da una rete la cui connessione Internet è controllata da ISA Server 2000 o ISA Server 2004.
Per ottenere ulteriori informazioni e scaricare gli script, visitate http://isatools.org ed eseguite il download dei seguenti file:
| • | ISA Server 2000: block_sasser.vbs |
| • | ISA Server 2004: block_sasser_2k4.vbs |
RIPRISTINO
Se il computer è già stato colpito dal worm, è innanzitutto necessario eseguire la procedura riportata di seguito. Fate una copia stampata della pagina da utilizzare in caso di necessità.
Per proteggere il sistema da nuove infezioni in futuro, installate immediatamente l’aggiornamento fornito con il Bollettino Microsoft sulla sicurezza MS04-011 reperibile all’indirizzo http://www.microsoft.com/italy/technet/solutions/security/04/ms04_011.asp.
Dopo l’applicazione dell’aggiornamento per la protezione del sistema, è possibile procedere alla rimozione del worm.
Per eliminare l’infezione, potete ricorrere allo strumento di rimozione Microsoft, che attualmente è in grado di eliminare la versione originale del worm Sasser e la variante B. In alternativa, potete eliminare l’infezione manualmente attenendovi alla procedura riportata di seguito.
PROCEDURA MANUALE
Nei computer vulnerabili il worm può provocare il blocco di di un file eseguibile (LSASS.EXE), che provoca l’arresto del sistema operativo entro 60 secondi.
Ciò potrebbe impedire lo scaricamento dello strumento di rimozione Microsoft. In questo caso, è necessario prima impedire l'arresto del sistema, seguendo la procedura riportata sotto.
Nei sistemi Windows XP è possibile impedire l’arresto del sistema utilizzando un comando predefinito.
1. | Eseguire il comando predefinito "shutdown.exe -a" nel seguente modo:
|
Nei sistemi Windows 2000 è possibile impedire il blocco del file eseguibile e il conseguente riavvio del sistema operativo, scollegando il cavo di rete o disattivando la scheda di rete e quindi effettuando una delle seguenti operazioni:
1. | Create un file di sola lettura denominato %systemroot%\debug\dcpromo.log, nel seguente modo:
Importante: il percorso della cartella di sistema “windows” può variare a seconda di dove viene installato il sistema operativo: tipicamente il percorso è “C:\winnt” NOTA: questa è la soluzione temporanea più efficace, poiché elimina completamente gli effetti della vulnerabilità impedendo l'esecuzione del codice interessato dal problema e funziona per tutti i pacchetti inviati a qualsiasi porta vulnerabile. | ||||||||||||||||||||
2. | Attivate il filtro TCP/IP avanzato su tutte le schede di rete, per bloccare tutti i pacchetti TCP non richiesti in ingresso.
Di seguito è illustrata una soluzione alternativa che consente di bloccare qualsiasi tentativo di sfruttare la vulnerabilità tramite il protocollo TCP. Tuttavia, a differenza delle procedure descritte in precedenza, questa soluzione non impedisce ai pacchetti UDP appositamente predisposti di raggiungere le porte vulnerabili e non elimina completamente gli effetti della vulnerabilità. | ||||||||||||||||||||
3. | Arrestate temporaneamente il servizio server immettendo il seguente comando:
NOTA: questa tecnica consente di bloccare esclusivamente gli attacchi che sfruttano le porte TCP 139 e 445. Se il computer infetto viene riconnesso alla rete, può provocare un sovraccarico della connessione di rete locale, impedendo completamente il download degli aggiornamenti. Per disattivare temporaneamente il worm è possibile utilizzare Task Manager per arrestare i seguenti processi:
|
Dopo l'arresto di tutti i processi del worm, dovrebbe essere possibile scaricare l'aggiornamento per la protezione e lo strumento per la rimozione Microsoft.
Team PSS Security Response
